Kickstarter में 2014 की डेटा सेंध

बाहरी डेटा सेंध रिकॉर्ड में 16 फ़रवरी 2014 की तारीख दी गई है। Kickstarter की सुरक्षा सूचना घटना और प्रभावित फ़ील्ड की श्रेणियों की पुष्टि करती है, लेकिन यह नहीं बताती कि हमलावर पहली बार सिस्टम में कब दाखिल हुआ था। इसलिए कैटलॉग में दी गई तारीख को पहली बार पहुँच हासिल करने की तारीख नहीं मानना चाहिए। कंपनी ने कहा कि उसके पास क्रेडिट कार्ड डेटा तक पहुँच बनाए जाने का कोई सबूत नहीं था और सूचना जारी किए जाने तक उसने सिर्फ़ दो खातों पर अनधिकृत गतिविधि देखी थी। इस सीमित बयान का अर्थ यह नहीं है कि कोई डेटा नहीं लिया गया था, और न ही यह बाद में दुरुपयोग की संभावना को खारिज करता है।

कंपनी के अनुसार, पुराने पासवर्ड के लिए अलग-अलग सॉल्ट इस्तेमाल किए गए थे और उन्हें SHA-1 से बार-बार हैश किया गया था, जबकि नए पासवर्ड के लिए bcrypt इस्तेमाल किया गया था। ये पासवर्ड प्लेनटेक्स्ट में नहीं थे, लेकिन इन्हें ऑफ़लाइन अनुमान लगाकर पासवर्ड पता करने के प्रयासों से पूरी तरह सुरक्षित नहीं मानना चाहिए। क्रेडिट कार्ड डेटा को एक संरचित श्रेणी के रूप में नहीं रखा गया है। नाम भी शामिल नहीं किए गए हैं, क्योंकि चयनित स्रोतों में इस घटना के लिए उन्हें स्पष्ट रूप से एक सामान्य, सत्यापित फ़ील्ड के तौर पर नहीं बताया गया है।

प्रोडक्शन परिवेश में केवल ईमेल डेटा की आयात प्रक्रिया पूरी की गई। इसमें 51,69,669 वैध पंक्तियाँ संसाधित की गईं और लाइव इंडेक्स में 51,69,660 अद्वितीय ईमेल संबद्धताएँ बनाई गईं। स्थानीय प्रक्रिया में उपयोगकर्ता नाम, पासवर्ड, फ़ोन नंबर या डाक पते आयात नहीं किए गए थे, इसलिए यह दावा नहीं किया जाता कि स्थानीय डेटा में ये फ़ील्ड साथ-साथ मौजूद हैं। बाहरी डेटासेट में अद्वितीय ईमेल की संख्या स्थानीय संबद्धताओं से 6,803 अधिक है। डेटासेट के संस्करण, सामान्यीकरण और डुप्लिकेट हटाने से जुड़े अंतरों का मिलान नहीं किया गया है; अंतर के लिए कोई कारण तय नहीं किया गया है और इन आँकड़ों को आपस में जोड़ा नहीं गया है।

Kickstarter का मौजूदा डोमेन और घटना संबंधी सूचना अभी भी उपलब्ध हैं। केवल ईमेल पते का मिलान होना यह साबित नहीं करता कि किसी व्यक्ति ने कोई प्रोजेक्ट बनाया था, किसी खास अभियान का समर्थन किया था या घटना के डेटा में उसके फ़ोन नंबर और पते के फ़ील्ड मौजूद थे। जिन लोगों ने संभवतः वही पासवर्ड कहीं और भी इस्तेमाल किया हो, उन्हें उस सेवा के लिए एक अलग पासवर्ड चुनना चाहिए। वे Kickstarter की मौजूदा दो-कारक प्रमाणीकरण और पहुँच के इतिहास की सुविधाओं का भी उपयोग कर सकते हैं। खाते या भुगतान से जुड़े अप्रत्याशित संदेशों की जाँच के लिए संदेश में दिए गए लिंक पर जाने के बजाय आधिकारिक डोमेन पर स्वतंत्र रूप से जाना चाहिए।